Утечка данных American Addiction Centers (422 424 человека)

Компания узнала об инциденте кибербезопасности примерно 26 сентября, привлекла сторонних экспертов и уведомила правоохранительные органы. К 3 октября расследование установило, что в период с 23 по 26 сентября неуполномоченное лицо получило определенные данные из ее систем.

American Addiction Centers не раскрыла ни способ первоначального доступа, ни использованную уязвимость. Группировка Rhysida, использующая программы-вымогатели, заявила о своей ответственности, однако в уведомлении компании не подтверждалось, кто стоял за атакой. Поэтому в каталоге зафиксированы подтвержденные несанкционированный доступ и получение данных, а причастность конкретной группировки остается неподтвержденной.

В индивидуальном уведомлении перечислялись имена, адреса, номера телефонов, даты рождения, номера медицинских карт или другие идентификаторы, номера социального страхования и сведения о медицинском страховании. Набор затронутых данных различался в зависимости от человека.

В первоначальном уведомлении говорилось, что сведения о лечении и данные платежных карт не были затронуты. Более позднее уведомление о мировом соглашении, одобренное судом, включало сведения о лечении в определение персональных данных, являющихся предметом разбирательства. Получателям следует ориентироваться на категории данных, перечисленные в их собственном уведомлении.

В первоначальном отчете, представленном Министерству здравоохранения и социальных служб США, были указаны 410 747 пациентов. В более позднем отчете компании, поданном генеральному прокурору штата Мэн 23 декабря 2024 года, сообщалось о 422 424 пострадавших. Эти числа не относятся к отдельным инцидентам, и их не следует складывать: в каталоге используется общее число, указанное в более позднем отчете о том же событии.

Номера социального страхования в сочетании с датами рождения и адресами могут использоваться для кражи личности или подачи мошеннических заявок на открытие счетов. Сведения о медицинском страховании и медицинские идентификаторы также могут использоваться для подачи мошеннических требований о выплатах, злоупотреблений с использованием чужой личности в медицинской сфере и убедительных мошеннических схем, нацеленных на конкретного человека.

Медицинские сведения, связанные с лечением зависимостей, создают дополнительный серьезный риск для конфиденциальности. Не следует отвечать на сообщения с угрозами или вымогательством, в которых упоминаются такие сведения. За помощью в связи с инцидентом следует обращаться только через каналы связи организации, проверенные независимо.

Организация заявила, что пресекла атаку, сотрудничала с правоохранительными органами и внешними специалистами по кибербезопасности и внедрила дополнительные меры защиты. Пострадавшим предложили 12 месяцев мониторинга кредитной истории по данным одного кредитного бюро, кредитный отчет, кредитный рейтинг и помощь в предупреждении мошенничества.

Получатели уведомлений могут подключить бесплатную услугу мониторинга, следуя проверенным инструкциям в своем письме, просмотреть кредитные отчеты и рассмотреть возможность заморозки доступа к кредитной истории или установки предупреждения о мошенничестве. О неизвестных финансовых операциях следует сообщать непосредственно в соответствующее учреждение.

Следует проверять пояснения к выплатам по медицинской страховке, личные кабинеты пациентов и счета за медицинские услуги на наличие услуг, которые вы не получали. Не переходите по ссылкам в неожиданных сообщениях, якобы отправленных American Addiction Centers, связанным с ней лечебным центром или поставщиком услуги мониторинга, пока не проверите отправителя через независимый канал связи.